Falco — runtime security

Comprar Self-Hosted Protection
Live
Demo
Falco
Ativo
Eventos em 24 h: 68
Críticos
0
Eventos em 24 h
Avisos
5
Notificações: 15
Top de regras
5
Total: 68
Top de regras
Read sensitive file untrusted 6
Terminal shell in container 3
Run shell untrusted 2
Write below etc 0
Detect outbound connections to common miner pools 0
Eventos recentes 68
notice 2026-10-13T11:52:25 notice A Write below etc (user=root command=sh pid=5783)
notice 2026-10-13T11:12:37 notice A Read sensitive file untrusted (user=root command=sh pid=8800)
notice 2026-10-13T11:36:23 notice A Run shell untrusted (user=root command=sh pid=1985)
notice 2026-10-13T10:36:01 notice A Run shell untrusted (user=root command=sh pid=1436)
warning 2026-10-13T10:30:57 warning A Read sensitive file untrusted (user=root command=sh pid=2120)
notice 2026-10-13T08:32:00 notice A Run shell untrusted (user=root command=sh pid=1267)
notice 2026-10-13T09:39:07 notice A Detect outbound connections to common miner pools (user=root command=sh pid=5275)
notice 2026-10-13T10:18:58 notice A Terminal shell in container (user=root command=sh pid=2447)
notice 2026-10-13T10:24:49 notice A Write below etc (user=root command=sh pid=4387)
warning 2026-10-13T07:29:28 warning A Run shell untrusted (user=root command=sh pid=5506)
notice 2026-10-13T10:06:05 notice A Write below etc (user=root command=sh pid=1439)
warning 2026-10-13T03:17:37 warning A Detect outbound connections to common miner pools (user=root command=sh pid=4007)
notice 2026-10-13T10:22:25 notice A Write below etc (user=root command=sh pid=2644)
warning 2026-10-13T06:07:03 warning A Run shell untrusted (user=root command=sh pid=1735)
warning 2026-10-13T02:02:19 warning A Detect outbound connections to common miner pools (user=root command=sh pid=7883)
Ajuste: silenciar falso positivo

O painel não altera a configuração do Falco — apenas mostra o excerto e os comandos que aplica no servidor via SSH.

1. Crie um ficheiro de substituição com a exceção:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <NOME EXATO DA REGRA da lista acima>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Verifique e reinicie o Falco:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Use o nome exato da regra. Se a lista mostrar o texto da mensagem em vez do nome, ative a saída JSON em falco.yaml (json_output: true) para que o painel receba os nomes exatos das regras.

Correr o Falco num servidor normal, sem Kubernetes

O Falco costuma ser apresentado como uma ferramenta de Kubernetes, e quase tudo o que se escreve sobre ele pressupõe um cluster. Funciona perfeitamente bem num servidor Linux comum, onde vigia as chamadas de sistema e levanta um alerta quando um processo faz algo que não lhe compete: abrir uma shell a partir do servidor web, escrever num diretório de binários do sistema, ler ficheiros sensíveis ou abrir uma ligação de saída inesperada.

Esta página mostra os alertas com a sua prioridade, a regra que disparou e o processo e a linha de comandos por trás. É esse último pormenor que distingue o Falco das ferramentas assentes em registos: comunica o que um processo realmente fez, e não o que um serviço decidiu escrever a esse respeito.

O conjunto de regras por omissão foi escrito a pensar em contentores e será ruidoso num servidor nu enquanto não for afinado. Gestores de pacotes, tarefas de cópia de segurança e scripts do cron acionam com regularidade regras destinadas a apanhar intrusos. Conte com uma ou duas horas a silenciar comportamentos legítimos antes de o resultado se tornar acionável: um fluxo de alertas que ninguém lê equivale a não ter alertas.